我目前在 Suricata 中设置了以下 DNS 查询警报规则（用于测试目的）：
alert dns any any -> any any (msg:”Test dns_query option”; dns_query; content:”google”; nocase; sid:1;)
当它捕获包含单词“google”的 DNS 事件时会触发该功能，例如在此数据包中：
{"timestamp":"2017-06-08T15:58:59.907085+0000","flow_id":1798294020028434,"in_iface":"ens33","event_type":"dns","src_ip":"172.16.10.132","src_port":53,"dest_ip":"192.168.160.140","dest_port":52385,"proto":"UDP","dns":{"type":"answer","id":57334,"rcode":"NOERROR","rrname":"www.google.com","rrtype":"A","ttl":300,"rdata":"172.217.12.164"}}
但是，我不想搜索包含“google”的资源记录名称，而是想使用相同类型的警报来触发解析为环回的 IP 地址，就像以下数据包的情况一样（注意字段rdata）：
{"timestamp":"2017-06-08T15:59:37.120927+0000","flow_id":36683121284050,"in_iface":"ens33","event_type":"dns","src_ip":"172.16.10.132","src_port":53,"dest_ip":"192.168.160.140","dest_port":62260,"proto":"UDP","dns":{"type":"answer","id":53553,"rcode":"NOERROR","rrname":"outlook1.us","rrtype":"A","ttl":120,"rdata":"127.0.0.1"}}
我注意到，contentSuricata 规则的这一部分仅搜索字符串。我当前的规则在文本与 rrname/domain 匹配时触发，我该如何让规则在 rdata/IP 地址上触发？
附言：出于好奇，我尝试用“127.0.0.1”替换警报内容部分中的“google”，但这也没有起到预期的作用。
答案1
IP 地址只是一个 32 位数字。在规则中，IP 应该表示为十六进制值而不是字符串，以提高效率并节省带宽（字符串将是 8+ 个字节，而不是 4 个字节）。
这是我的最终 Suricata 规则，每当有人在我的网络上被发送到环回时，都会发出警报：
alert dns any any -> any any (msg:"BLACKLISTED DOMAIN"; content:"|7F 00 00 01|"; sid:1;)